Sophos Switch: obsługa floty, synchronizacji, lokalizacji i stosów

W obszarze My Products > Switches > Switches Sophos Fusion zarządza poszczególnymi przełącznikami, lokalizacjami i stosami. Strona przeglądu pokazuje stan floty, natomiast Task queue — stan poszczególnych zadań konfiguracyjnych. Lokalizacje grupują przełączniki znajdujące się w jednym miejscu i korzystające z części wspólnych ustawień. Stos traktuje fizycznie połączone przełączniki lub przełączniki wymagające identycznej konfiguracji jako jednostkę logiczną.

Ten runbook opisuje bezpieczną codzienną eksploatację. Aktualizacje oprogramowania sprzętowego, wymiany urządzeń, resetowanie i usuwanie z Sophos Fusion wchodzą w zakres odrębnych procesów konserwacyjnych. Takie środki są tutaj wymienione jako punkt transferu tylko wtedy, gdy status blokuje dalszą synchronizację.

Zrozumienie modelu operacyjnego i dziedziczenia

Default site i lokalizacje niestandardowe to alternatywne przypisania; lokalizacja domyślna nie jest poziomem nadrzędnym innych lokalizacji, lecz samodzielną lokalizacją i miejscem docelowym używanym awaryjnie. W każdej lokalizacji możliwe są dwa rodzaje przypisania:

• Default site lub niestandardowe Site
  • bezpośrednio przypisane Switch
  • Stack
    • Switch przypisane do stosu

Stos znajduje się zatem w lokalizacji nadrzędnej. Przełącznik może należeć bezpośrednio do lokalizacji lub do stosu w obrębie lokalizacji.

Wartość Parent na przełączniku wskazuje lokalizację lub stos, z którego urządzenie otrzymało szablon konfiguracji. Stos z kolei pokazuje powiązaną lokalizację pod Parent.

Oznacza to, że przy każdej zmianie: najpierw udokumentuj efektywne źródło konfiguracji i szablon docelowy, następnie przenieś przełącznik pilotażowy, w pełni zsynchronizuj jego zadania i dopiero wtedy zajmij się kolejną grupą.

Sophos Fusion pokazuje ustawienia dokonane lokalnie na przełączniku tylko wtedy, gdy zostały zsynchronizowane lub zreplikowane do Fusion. Zmiany CLI dokonane za pomocą Run commands również nie pojawiają się jako konfiguracja w Sophos Fusion. Dlatego widok Fusion bez widocznych problemów nie dowodzi, że lokalnie nie występują odchylenia.

Najpierw oceń stan floty

1. Otwórz My Products > Switches > Switches.
2. Dla hierarchii użyj Tree view, dla ogólnego porównania na podstawie numeru seryjnego użyj Flat view.
3. Jeśli wpisów jest więcej niż dziesięć, uwzględnij wszystkie strony; rozmiar strony można ustawić na 10, 25 lub 50.
4. Zbierz co najmniej Name, Serial number, Status, Alerts, Version, Location, Model, VLANs, Tags i mapowanie nadrzędne dla każdego przełącznika, którego to dotyczy.
5. Jeśli wystąpił alarm, kliknij numer pod Alerts. Aby uzyskać ostatni kontakt, otwórz przełącznik i najedź kursorem na czas ostatniego zdarzenia pod System details; Pojawiają się tam ostatnie zdarzenia komunikacyjne.
6. Przed akcją masową sprawdź wybór według numeru seryjnego z listą zmian. Zaznaczona lokalizacja lub stos rozszerza zakres na wszystkie przełączniki wybrane poniżej.

Nazwy przełączników są widoczne i wyszukiwalne na stronach zarządzania przełącznikami, lokalizacjami i stosami. Urządzenie wyszukiwać więc najpierw po znanej nazwie, ale wynik zawsze porównywać z numerem seryjnym: nazwa domyślna odpowiada modelowi i nie jest globalnie unikalnym kluczem urządzenia. Kolumnę nazwy można pokazać lub ukryć; sprawdzić obsługę wyboru kolumn we własnym tenancie, zamiast zakładać konkretną nazwę filtra.

Przeczytaj poprawnie status w przeglądzie

Przegląd może wyświetlać także stany subskrypcji wsparcia:

• Suspended: Zarządzanie flotą zostało zawieszone do czasu przypisania ważnej subskrypcji pomocy technicznej.
• No subscription: Do przełącznika nie przypisano subskrypcji pomocy technicznej.
• Oversubscribed: Zarejestrowano więcej przełączników niż subskrypcji pomocy technicznej.
• Expired subscription: Subskrypcja wygasła.

Zmiany w przełączniku nie są możliwe bez ważnej licencji wsparcia Sophos Switch. Dlatego nie należy omijać blokad licencji i oprogramowania sprzętowego poprzez wielokrotną synchronizację.

Używaj Task queue jako dziennika zadań

Otwórz przełącznik, lokalizację lub stos i wybierz Task queue. Włącz Auto refresh, jeśli w trakcie zmiany spodziewane są nowe zadania. W tabeli przedstawiono Status, Switch, Configuration source, Entity, Action, Created by i Created at. Jeśli zadań jest więcej niż dziesięć, uwzględnij wszystkie strony lub ustaw widok na 10, 25 lub 50 wierszy.

• Switch to numer seryjny urządzenia docelowego.
• Configuration source pokazuje pochodzenie zadania.
• Entity wskazuje moduł przełącznika, którego dotyczy zadanie. Kliknij wpis, aby otworzyć szczegóły zadania.
• Action opisuje operację, na przykład Create dla nowej lub Update dla zmienionej konfiguracji.
• Created by i Created at powiązują zmianę z kontem Fusion i czasem.

Status zadania i dozwolone interwencje

Dokumentacja Sophos wymienia created, Pending i Failed jako warunki wyboru dla Skip. created odtwarza jedynie treść tego warunku o nazwie źródłowej i nie dodaje go do udokumentowanej listy statusów zadań. W szczególności created nie może być utożsamiane z Waiting ani z czasem Created at. Retry jest dostępny dla Failed i Skipped.

Skip nie jest naprawą. Pozostawia pożądaną zmianę bez zastosowania i może technicznie oddzielić kolejne zadania. Wcześniej zapisz Entity, Action, źródło, twórcę, czas i odpowiedni przełącznik. Uruchom Retry dopiero po usunięciu przyczyny; w przeciwnym razie będzie to po prostu kolejna nieudana próba.

Synchronizuj w sposób kontrolowany

Obsługuj poszczególne przełączniki

1. Otwórz przełącznik w przeglądzie za pomocą Name.
2. W Basic details porównaj State, Parent, Serial no., Model i MAC Address z ewidencją urządzeń i zatwierdzoną zmianą.
3. W System details sprawdź czas ostatniego zdarzenia, alerty, przegląd portów, Connection usage i dla modeli PoE PoE.
4. Otwórz Task queue, posortuj według Created at i zależności i sprawdź widok szczegółowy poprzez Entity.
5. Wybierz Synchronize tylko wtedy, gdy cel, źródło i obszar działania są prawidłowe. W przeglądzie floty, po wybraniu urządzeń docelowych, kliknij ponownie Synchronize, aby wysłać oczekujące ustawienia Fusion.
6. Monitoruj zadanie poprzez jego udokumentowane wartości statusu aż do Success. Nie zakładaj sukcesu na podstawie Waiting, Pending lub Syncing.
7. W przypadku Manual synchronization needed najpierw zapisz przyczynę i kolejkę. Reapply all settings ponownie instaluje ustawienia przełącznika i dlatego nie jest nieszkodliwą aktualizacją.
8. Na koniec sprawdź stan floty, kolejkę i rzeczywiste działanie sieci.

Jeśli celem jest tylko czytelniejsza nazwa urządzenia, najpierw zapisać poprzednią nazwę, model i numer seryjny. Na stronie szczegółowej w System details > Basic details > Name zmienić nazwę przez edit, np. według dostosowywalnego wzorca ZH-Buero-SW01. Potem ponownie otworzyć stronę: numer seryjny bez zmian, nowa nazwa widoczna w przeglądzie i wyszukiwaniu. W razie potrzeby przywrócić poprzednią nazwę w tym samym edytorze. Zmiana nazwy nie jest obowiązkowa i nie uzasadnia Reapply all settings, restartu ani przeniesienia między lokalizacjami lub stosami.

Zdecyduj o konfliktach konfiguracyjnych

Konflikt wymaga decyzji o kierunku zastosowania konfiguracji, a nie tylko naprawy błędu synchronizacji. Przed ingerencją wyjaśnij:

1. Który poziom powinien być autorytatywny: lokalizacja, stos, przełącznik czy świadomie lokalna konfiguracja CLI?
2. Co pokazuje Configuration source dla jednostki, której dotyczy problem?
3. Czy zmiany wprowadzono lokalnie, przez interfejs Fusion czy przez Run commands?
4. Czy Out of sync powstało, ponieważ Fusion wykrył lokalne odchylenie, czy też zadanie Fusion nie powiodło się?
5. Których ustawień zależnych, uplinków, sieci VLAN, ścieżek zarządzania lub mechanizmów zabezpieczeń dotyczyłaby zmiana?

Przenieś wartości lokalne do Fusion tylko wtedy, gdy zostały sprawdzone i zatwierdzone jako stan docelowy. Ponownie stosuj wartości Fusion tylko wtedy, gdy wiadomo, że konfiguracja elementu nadrzędnego lub przełącznika jest wiążąca. Jeśli pochodzenie jest niejasne, nie wybieraj Skip ani nie uruchamiaj zbiorczo Reapply all settings. Najpierw zapisz zrzuty ekranu lub eksport widocznych wartości, numer seryjny, element nadrzędny, Configuration source, szczegóły zadania i znacznik czasu.

Planuj i obsługuj lokalizacje

Lokalizacja jest przeznaczona dla przełączników znajdujących się w tym samym miejscu geograficznym i korzystających z części wspólnych ustawień. Stos jest bardziej odpowiedni dla urządzeń, które są fizycznie połączone lub mają otrzymać całkowicie identyczną konfigurację. Lokalizacje i stosy tworzy się w My Products > Switches > Switches za pomocą Create site/stack; najpierw wybierz przewidziane do tego przełączniki, a następnie Site lub Stack.

Dla lokalizacji zapisuje się Name, opcjonalnie rzeczywistą lokalizację w polu Location za pomocą Google Maps i opcjonalnie Description. Czytelna nazwa powinna wskazywać lokalizację i cel operacyjny.

Strona Site management pokazuje Site, Switches, Sync pending i Sync failed. Za pomocą Edit Site możesz sprawdzić nazwę, lokalizację, opis oraz przypisane przełączniki i stosy. Zakładka System Details pokazuje Name, Serial no., Model, State, MAC address, IP address i Firmware version dla każdego przełącznika; widok można uporządkować metodą „przeciągnij i upuść”.

Skonfiguruj porty na poziomie lokalizacji

W wielu ustawieniach dostępne są dwa sposoby wyboru:

• Select the same ports on all switches stosuje te same numery portów logicznych do wszystkich przełączników.
• Select individual ports on each switch umożliwia wybór innego portu fizycznego dla każdego urządzenia.

Wspólna lista obejmuje 48 portów miedzianych oraz cztery porty SFP, od 49(F1) do 52(F4), ponieważ lokalizacja może zawierać modele 8-, 24- i 48-portowe. Przełącznik przyjmuje ustawienia tylko dla portów, które faktycznie istnieją. Port 7 dotyczy więc wszystkich modeli, a port 37 tylko modeli 48-portowych. 49(F1) odpowiada 9(F1) w przełączniku 8-portowym, 25(F1) w 24-portowym i 49(F1) w 48-portowym.

Na poziomie lokalizacji dostępne są między innymi Basic details, VLANs, Port settings, Discovery, Networks, Routes, L3 protocols, QoS, SNMP, Security, Task queue i Diagnostics. Site management pokazuje ostatnią zmianę dokonaną w Sophos Fusion; konfiguracja lokalizacji nie jest regularnie aktualizowana, w przeciwieństwie do kopii zapasowej. Dlatego nie jest to punkt przywracania.

Planuj stosy, sprawdzaj topologię i kondycję

Stos należy do lokalizacji nadrzędnej. Ma sens tylko wtedy, gdy jego przełączniki są ze sobą fizycznie połączone lub mają otrzymać identyczną konfigurację. Podczas tworzenia stosu w Create site/stack > Stack określ lokalizację nadrzędną i Name, a opcjonalnie rzeczywistą lokalizację w polu Location i opis w Description.

Aby wyświetlić połączenia, podczas tworzenia należy aktywować opcję Turn on LLDP and STP to see switch connections in stack management. Następnie otwórz nazwę stosu w obszarze My Products > Switches > Switches. Stack management pokazuje Stack, Parent, Switches, Sync pending i Sync failed. Pod Edit Stack możesz kontrolować lokalizację nadrzędną, nazwę, lokalizację, opis i członków.

Oceń System Details i odporność

Zakładka System Details pokazuje konfigurację portów, połączenia i Overall Stack Resiliency. Całkowita wartość uwzględnia:

• Szybkość połączeń stosu i wykorzystanie interfejsów LAG;
• Topologia połączeń, w tym pętle i osiągalność sieci WAN;
• najniższa wartość odporności elementów stosu.

Wskazanie opiera się na ostatnim znanym statusie i jest aktualizowane co około 90 sekund. Jeśli przełącznik zostanie wyłączony lub nie będzie mógł połączyć się z Fusion, zmiana topologii fizycznej pozostanie niewidoczna do czasu, aż urządzenie ponownie się skomunikuje. Przeciągnij i upuść zmienia tylko wizualizację, a nie okablowanie.

Dla każdego połączenia Fusion oblicza wartość na podstawie szybkości łącza, Rx Rate, Tx Rate i wykorzystania portu:

• Green: poniżej 75 procent maksymalnej pojemności;
• Orange: od 75 do 90 procent;
• Red: powyżej 90 procent.

Najedź kursorem na symbol na linii połączenia, aby zobaczyć Link speed (Gbps), Rx Rate (Kbps) i Tx Rate (Kbps). Red sygnalizuje obciążenie względem przepustowości, a nie automatycznie uszkodzenie łącza. Po analizie można rozważyć na przykład LAG, port SFP lub port o większej przepustowości jako odrębną zmianę w sieci.

Name, Serial no., Model, Resiliency i State są wyświetlane dla każdego członka. Show more uzupełnia MAC address, IP address, Firmware version, Tags, Powered on i Location. Wskaźnik odporności danego przełącznika uwzględnia połączenie z Fusion i stan dostępności oprogramowania sprzętowego. Dlatego zawsze oceniaj topologię, dane łącza, status elementu i kolejkę razem.

Porty stosu podlegają temu samemu ryzyku przy mieszaniu modeli 8-, 24- i 48-portowych co porty lokalizacji. Używaj Select the same ports on all switches tylko przy potwierdzonym jednolitym okablowaniu; w przeciwnym razie użyj Select individual ports on each switch.

Bezpiecznie przenoś urządzenia i wykonuj akcje masowe

Przesuń przełącznik lub stos

1. Udokumentuj docelowy element nadrzędny i jego efektywną konfigurację.
2. W obiekcie źródłowym udokumentuj wyjątki na poziomie przełącznika, lokalne odchylenia konfiguracji CLI, otwarte zadania kolejki i uplinki zarządzania.
3. Zaznacz tylko jeden przełącznik pilotażowy. Dla poszczególnych urządzeń po wybraniu lokalizacji i stosów użyj Move > Select switches, wybierz docelową lokalizację lub docelowy stos i kliknij Save. Po wybraniu cały stos można przypisać do nowej lokalizacji za pomocą Move.
4. Należy pamiętać, że Fusion czyści ustawienia poziomu przełącznika i stosuje dziedziczenie docelowe; sprawdź osobno opisany wyjątek Not set.
5. Obserwuj Task queue aż do stanu końcowego i przetestuj ścieżkę zarządzania i danych.
6. Dopiero wtedy przejdź do kolejnej, jasno określonej grupy.

Synchronizuj i uruchamiaj polecenia w trybie zbiorczym

Podczas wybierania lokalizacji, stosu lub wielu przełączników akcja dotyczy wszystkich wybranych urządzeń. Przed drugim kliknięciem Synchronize lub przed Execute zatem:

• Rozwiń widok zaznaczonych urządzeń i policz numery seryjne;
• Usuń z fali urządzenia offline, łącza nadrzędne i krytyczne lokalizacje;
• Udokumentuj okno zmiany, przełącznik pilotażowy, kryterium przerwania i osoby odpowiedzialne;
• za pomocą CLI sprawdź dokładnie jedno polecenie w linii;
• Zwróć uwagę na kolejność: Fusion wykonuje polecenia indywidualnie dla każdego urządzenia w podanej kolejności;
• wziąć pod uwagę, że zmiany CLI nie są odzwierciedlone w Fusion;
• Nie modyfikuj tej samej jednostki równolegle poprzez interfejs użytkownika, CLI lub lokalny interfejs sieciowy po uruchomieniu.

Zweryfikuj od początku do końca

Zmiana jest zakończona dopiero wtedy, gdy poziom kontroli odpowiada rzeczywistej funkcji sieci:

1. Przypisanie: Tree view pokazuje lokalizację, stos i przełącznik pod zamierzonym elementem nadrzędnym; Numer seryjny i lokalizacja są prawidłowe.
2. Stan floty: Brak nieoczekiwanych stanów Out of sync lub Manual synchronization needed oraz blokad licencji lub oprogramowania sprzętowego.
3. Kolejka: Wszystkie zadania związane ze zmianą zidentyfikowane za pomocą Entity, Action, Created by i Created at; oczekiwane zadania są ustawione na Success. Zadania, które celowo pozostawiono Skipped, są dokumentowane jako odstępstwa.
4. Konfiguracja: Configuration source odpowiada zamierzonemu właścicielowi. Losowo sprawdzaj krytyczne porty, sieci VLAN, łącza nadrzędne, trasy i wartości zabezpieczeń w odpowiednim modelu.
5. Komunikacja: Ostatnie zdarzenie jest aktualne; brak nowego ostrzeżenia; dostęp administracyjny nadal działa.
6. Stan stosu: elementy i połączenia LLDP/STP są widoczne, brak niewyjaśnionych zmian topologii, a Overall Stack Resiliency i kolory łączy są wiarygodne. Po fazach offline poczekaj przynajmniej na kolejny cykl komunikacji.
7. Ścieżka danych: Klient testowy otrzymuje oczekiwaną konfigurację IP na porcie dostępu, którego dotyczy problem, i dociera do DNS, bramy oraz dozwolonych celów wewnętrznych i zewnętrznych. Przetestuj oddzielnie łącza nadrzędne i ścieżki redundancji.
8. Monitorowanie: Sprawdź ponownie kolejkę i alerty w uzgodnionym oknie kontrolnym, zanim rozpocznie się kolejna fala.

Precyzyjnie zawężaj przyczyny błędów

Waiting lub Pending pozostaje bez zmian

• Sprawdź numer seryjny, czas ostatniego zdarzenia i dostępność przełącznika.
• W Task queue otwórz najstarsze zadanie, które nie zakończyło się powodzeniem, i jego Entity.
• Uwzględnij poprzednie zadania Failed, Skipped lub Suspended.
• Nie twórz wielu identycznych zmian. Najpierw napraw komunikację lub zależność, a następnie zsynchronizuj konkretnie lub użyj Retry.

Out of sync

• Porównaj Configuration source, Parent i ostatnią zmianę lokalną lub zmianę przez CLI.
• Należy pamiętać, że w Fusion może brakować zmian lokalnych i CLI.
• Określ docelowy stan techniczny, zanim jedna ze stron wygra.
• Zabezpiecz dowody; jeśli wpływ jest niejasny, nie używaj zbiorczo Reapply all settings.

Manual synchronization needed lub Failed

• Otwórz nieudaną linię kolejki za pomocą Entity i zarejestruj dokładny błąd, godzinę, twórcę i numer seryjny.
• Sprawdź status licencji, blokadę oprogramowania, ostatnią komunikację i poprzednie zadania.
• Napraw przyczynę i powtórz tylko zadanie, którego dotyczy problem, za pomocą Retry. Skip tylko z udokumentowaną decyzją o możliwości pominięcia zmiany.
• Użyj Reapply all settings dopiero po zatwierdzeniu ponownego zastosowania wszystkich ustawień i zabezpieczeniu dostępu administracyjnego.

Suspended

• Jeśli Suspended widnieje w przeglądzie floty przy stanie subskrypcji, wyjaśnij przypisanie licencji lub dostępną pojemność licencyjną.
• Jeśli Suspended widnieje w Task queue lub jako wartość pola State konkretnego urządzenia, blokadą jest nieaktualne oprogramowanie sprzętowe. Przekaż sprawę do osobnej procedury aktualizacji i odzyskiwania oprogramowania sprzętowego; nie improwizuj tutaj.

Brak topologii stosu lub wydaje się ona nieaktualna

• Sprawdź, czy na stosie aktywowano Turn on LLDP and STP to see switch connections in stack management.
• Sprawdź State, czas ostatniego zdarzenia i możliwość połączenia z Fusion każdego przełącznika w stosie.
• Jeśli przełącznik jest wyłączony lub odłączony, należy spodziewać się ostatniego znanego stanu; po ponownym połączeniu poczekaj co najmniej na aktualizację w cyklu trwającym około 90 sekund.
• Sprawdź osobno wykrywanie LLDP/STP, okablowanie fizyczne i stany portów. Przeciąganie i upuszczanie w widoku nie naprawi połączenia.

Wzrost Sync pending lub Sync failed w lokalizacji lub stosie

• Nie synchronizuj ponownie całej grupy.
• Izoluj dotkniętych członków, używając numeru seryjnego i kolejki.
• Odróżnij wspólną zmianę na poziomie elementu nadrzędnego od problemu z komunikacją lub modelem konkretnego urządzenia.
• W przypadku modeli mieszanych sprawdź, czy wspólny wybór portów dotyczy nieistniejących portów lub portów o innych numerach.

Po przeniesieniu konfiguracja jest nieoczekiwana

• Sprawdź docelowy element nadrzędny, usunięte ustawienia poziomu przełącznika i wyjątek Not set w porównaniu z wcześniejszą dokumentacją.
• Nie przenoś kolejnej grupy urządzeń.
• Najpierw zabezpiecz dostęp administracyjny i działanie ścieżki transmisji danych, a następnie w kontrolowany sposób przywróć autorytatywny stan docelowy na poziomie elementu nadrzędnego lub przełącznika i w pełni zweryfikuj kolejkę.

Przekazanie do procedur poza tym runbookiem

• Firmware too old lub Suspended związane z oprogramowaniem sprzętowym: przekaż sprawę do odrębnego procesu aktualizacji i odzyskiwania oprogramowania sprzętowego, obejmującego okno serwisowe, sprawdzenie zgodności i możliwości powrotu do poprzedniej wersji.
• Usunięcie przełącznika z Sophos Fusion, usunięcie lokalizacji lub stosu, wymiana urządzenia lub przywrócenie ustawień fabrycznych: przekaż sprawę do kontrolowanego procesu wycofania lub wymiany. Działania te zmieniają zarządzanie, przynależność do lokalizacji lub stosu oraz ewentualnie ustawienia lokalne.
• Jeśli ze względów organizacyjnych trzeba zlikwidować lokalizację lub stos, przed przekazaniem udokumentuj docelowe przypisanie i stan opcji Clear the Sophos Fusion configuration ….
• Po usunięciu lokalizacji należące do niej elementy są zawsze przenoszone do Default site.
• Po usunięciu stosu jego przełączniki są zawsze przenoszone do lokalizacji nadrzędnej tego stosu.
• Jeśli włączone jest Clear the Sophos Fusion configuration …, Fusion czyści lokalne ustawienia przełącznika. Przełączniki dziedziczą następnie konfigurację odpowiedniej lokalizacji docelowej.
• Opcja czyszczenia oznacza usunięcie lokalnych ustawień przełącznika, a nie „lokalnych ustawień Fusion”.
• Bez włączonej opcji czyszczenia należy w ramach konkretnej zmiany sprawdzić, która konfiguracja pozostaje skuteczna. Nie należy tego wnioskować wyłącznie z przeniesienia do lokalizacji docelowej.